Jailbreak universal IA: Pliny afirma vulnerar todos

En pocas palabras: El investigador de seguridad Pliny the Liberator anunció el 24 de julio de 2026 un jailbreak universal que, según él, funciona en todos los modelos frontera probados, como Opus 5 y GPT-5.6.

Pliny the Liberator, un investigador de seguridad conocido por forzar los límites de la IA, anunció el 24 de julio de 2026 que encontró un jailbreak universal que, según él, burla las salvaguardas de todos los modelos frontier que probó: Opus 5, GPT-5.6 Sol y Fable, entre otros. El dato clave no es solo la técnica — que no reveló —, sino que él mismo está controlando los tiempos, invitando a expertos a contactarlo mientras decide cuándo (y si) compartir el método con el mundo.

Un jailbreak de IA es una forma no convencional de formular prompts para que un modelo haga cosas que sus desarrolladores explícitamente le prohibieron: generar código de malware, instrucciones para fabricar armas químicas o cualquier output que viole las políticas de uso. La novedad acá es que Pliny asegura que su método funciona en todos los modelos a la vez — y que, por cómo está construido, sería extremadamente difícil de parchear. Si la afirmación se sostiene, hablamos de una vulnerabilidad estructural que atraviesa a los tres grandes laboratorios que marcan el rumbo de la IA generativa.

¿Qué afirmó exactamente Pliny el 24 de julio de 2026?

El anuncio fue breve y directo. En un hilo publicado en X a las 2:28 PM del 24 de julio, según reportó Digg, Pliny escribió: “Estoy sentado sobre una técnica de jailbreak universal que es efectiva en TODOS los modelos, incluidos flagships con guardrails pesados como Opus 5, GPT-5.6 Sol, e incluso Fable. Funciona en todas las categorías que probé y, por su naturaleza, es extremadamente difícil (si no imposible) de parchear por completo.”

No soltó una línea de código. No mostró un demo. Lo que sí dejó claro es que no quiere que su descubrimiento dispare una ola de prohibiciones. “Esta decisión no se tomó a la ligera”, escribió, “pero lo último que quiero ver es más prohibiciones de modelos. La sobrecorrección no sirve a la misión.” Esa línea, para cualquiera que siga el debate regulatorio de la IA en 2026, es una referencia directa a la tensión entre los llamados a prohibir modelos abiertos y el argumento de que la transparencia ayuda más que el oscurantismo.

Lo que no dijo es tan importante como lo que sí. No mencionó cuántas pruebas hizo, ni en qué condiciones, ni si alguien más replicó el resultado. Tampoco aclaró si el jailbreak permite extraer información del entrenamiento o “solo” saltarse los RLHF y las capas de censorship. Son huecos que, sin verificación independiente, dejan el claim en un limbo incómodo entre la advertencia seria y el marketing personal.

¿A qué modelos afecta el jailbreak universal de Pliny?

La respuesta corta: a los tres modelos frontier más blindados de mediados de 2026, y probablemente a varios más que no nombró. La lista confirmada por el propio Pliny incluye:

• GPT-5.6 Sol (OpenAI): la última versión de la serie GPT, lanzada con múltiples capas de alineamiento y filtros de seguridad que se consideraban entre los más robustos del mercado.
• Opus 5 (Anthropic): el modelo insignia de Anthropic, diseñado específicamente con Constitutional AI y un enfoque de safety-first que la empresa viene refinando desde Claude 1.
• Fable (Anthropic): el modelo que acompaña a Opus 5, disponible globalmente y con salvaguardas de ciberseguridad específicas que Anthropic detalló en su blog.

Que el jailbreak funcione en los dos modelos de Anthropic y en el de OpenAI sugiere que la vulnerabilidad no depende de la arquitectura particular de un laboratorio (cosa que ya sería grave), sino que podría ser transversal a todo el paradigma de alineamiento actual. Si atravesás los guardrails de tres sistemas entrenados con filosofías distintas, el problema no está en una implementación: está en el approach.

Pliny dijo que la técnica funciona “en todas las categorías probadas”, lo cual es deliberadamente vago. ¿Probó generación de malware? ¿Instrucciones para síntesis de compuestos tóxicos? ¿Manipulación psicológica a escala? No lo sabemos, y hasta que no lo sepamos, la severidad del jailbreak sigue siendo una incógnita. Pero si tomamos su palabra — y ojo, su historial de jailbreaks previos es sólido —, estamos ante algo que ningún laboratorio había anticipado.

¿Por qué Pliny no revela la técnica de jailbreak universal?

Pliny eligió el camino de la responsible disclosure: retener los detalles técnicos y dar tiempo a los laboratorios para que evalúen, parcheen (si pueden) y preparen una respuesta antes de que el método se haga público. Es el mismo principio que se aplica en ciberseguridad cuando alguien descubre una vulnerabilidad crítica en software — con la diferencia de que acá no hay un CVE que emitir ni un parche que distribuir por actualización automática. Arreglar un modelo de lenguaje no es como deployar un hotfix: si el problema es estructural, puede requerir reentrenamiento, cambios en la arquitectura o directamente repensar cómo se hace el alineamiento.

En su tweet, Pliny escribió: “Decidí retener el open-source de este (por ahora) para permitir un período de responsible disclosure. Estoy invitando a expertos de la industria y líderes en red teaming, seguridad, safety, alineamiento y política de IA a que me contacten para más información. ¡Los DMs están abiertos!” Traducción: él decide quién entra al círculo de confianza, cuándo y bajo qué condiciones. Para una industria acostumbrada a que los laboratorios controlen la narrativa de seguridad, esto invierte los roles de un modo incómodo — y quizás necesario.

Hay otra lectura posible, menos romántica. Retener la técnica también maximiza la atención sobre Pliny, le da leverage para negociar (con empresas, con gobiernos, con quien sea) y lo posiciona como el guardián de un secreto que todo el mundo quiere conocer. No digo que sea su motivación — no lo conozco —, pero el patrón es conocido en el mundo del vulnerability research. Lo que sí digo es que, si el jailbreak es real, Pliny tiene en sus manos la llave maestra de los sistemas de IA más avanzados del planeta, y esa no es una posición que a nadie le guste ocupar gratis.

¿Qué tan creíble es el anuncio del jailbreak universal?

Acá es donde hay que afilar el escepticismo. Al 26 de julio de 2026, el claim de Pliny no fue verificado por ningún tercero independiente. No hay paper, no hay repo público (el GitHub que se referencia en las discusiones no contiene la técnica), y ninguno de los laboratorios mencionados — OpenAI, Anthropic — emitió un comunicado confirmando que recibieron el reporte o que están investigando. Todo lo que tenemos es un tweet, la cobertura de Startup Fortune y Digg, y el historial del investigador.

Eso último no es menor. Pliny the Liberator es un nombre establecido en la comunidad de jailbreaking de IA, con un track record de exploits que sí funcionaron en versiones anteriores de GPT y Claude. No es un random que aparece de la nada con un claim extraordinario: es alguien que ya demostró que sabe encontrar grietas donde otros ven blindaje. Eso le da peso a su afirmación, pero no la convierte en verdad.

La pregunta que sobrevuela todo esto es incómoda: ¿y si es verdad pero los laboratorios deciden no confirmarlo públicamente? Si admitís que tu flagship — el modelo que vendés a empresas, gobiernos y desarrolladores — tiene una vulnerabilidad que no podés parchear, el daño reputacional y comercial es brutal. La tentación de minimizar, de decir que “se está investigando” mientras reentrenás a las apuradas, es altísima. Lo digo sin cinismo: es lo que haría cualquier empresa con miles de millones en juego.

¿Qué impacto podría tener un jailbreak universal en la seguridad digital?

Los comentaristas de seguridad que reaccionaron al anuncio — Digg los cita sin dar nombres específicos — señalaron el riesgo para “la seguridad de la infraestructura digital nacional frente a actores estatales y organizaciones criminales”. No es exageración. Si realmente existe una técnica que desbloquea cualquier modelo frontier sin posibilidad de parche, tenés un problema de seguridad nacional: cualquiera con acceso a la API de estos modelos — y en 2026 eso es literalmente cualquier persona con conexión a internet — podría generar outputs que los laboratorios diseñaron específicamente para bloquear.

Pensalo así: las empresas que construyen productos sobre GPT-5.6, Opus 5 o Fable — desde chatbots de atención al cliente hasta asistentes de código como Claude Code — asumieron que las salvaguardas del modelo base las protegían contra usos maliciosos. Si esa capa de seguridad se desmorona, todo lo que construiste arriba queda expuesto. Y no es solo teoría: en 2025 vimos cómo jailbreaks más limitados se usaron para generar phishing indistinguible de comunicaciones reales, y eso fue con modelos menos capaces. Con la capacidad de razonamiento y generación de código que tienen los modelos de 2026, el radio de daño potencial es mucho mayor.

Para equipos de desarrollo en Latinoamérica que están integrando estas APIs, el mensaje es claro: no deleguen la seguridad completamente en el proveedor del modelo. Si tu aplicación depende de que el LLM no genere cierto tipo de contenido, un jailbreak universal puede convertir esa dependencia en un liability de la noche a la mañana.

¿Cómo clasifica Anthropic la severidad de los jailbreaks en su nuevo framework?

Casi en paralelo con el anuncio de Pliny, Anthropic publicó un borrador de su framework de severidad de jailbreaks, desarrollado en colaboración con sus socios de Glasswing. El timing es una de esas coincidencias que no parecen coincidencia, pero vayamos a los datos.

El framework propone una escala para clasificar qué tan grave es un jailbreak, algo que hasta ahora no existía de forma consensuada. Según Anthropic, los jailbreaks “varían en severidad: a veces solo desbloquean comportamientos indeseables menores, y otras veces desbloquean una amplia gama de outputs dañinos, volviendo al modelo mucho más peligroso.” La distinción es clave: no todos los jailbreaks son igual de preocupantes. Un exploit que te deja generar un insulto creativo no es lo mismo que uno que te permite obtener instrucciones paso a paso para sintetizar toxinas.

El borrador busca crear un lenguaje común entre desarrolladores, gobiernos y sociedad civil para hablar de riesgos. “Nuestra esperanza es generar una discusión útil en la academia, la industria, la sociedad civil y el gobierno sobre cómo y dónde trazar estas líneas”, escribió Anthropic. Si el jailbreak de Pliny resulta ser real, este framework es exactamente la herramienta que se necesita para evaluarlo. La pregunta es si el framework contempla la categoría en la que caería un jailbreak “imposible de parchear” que funciona en todos los modelos a la vez — porque, spoiler, esa categoría no existía hasta hace 48 horas.

¿Qué está confirmado y qué no sobre el jailbreak universal de Pliny?

Después de dos días de ruido mediático, el balance entre hechos y especulación se ve más o menos así:

Confirmado	No confirmado
Pliny anunció el jailbreak el 24/07/2026 en X	Que la técnica realmente funcione como afirma
Mencionó específicamente Opus 5, GPT-5.6 Sol y Fable	Qué categorías de daño desbloquea el jailbreak
Está reteniendo el código para responsible disclosure	Que sea “imposible de parchear” es una afirmación sin evidencia pública
Anthropic publicó su framework de severidad de jailbreaks en paralelo	Que OpenAI o Anthropic hayan recibido el reporte formalmente
El GitHub vinculado a Pliny no contiene la técnica	El alcance real en modelos no mencionados (Gemini, Llama 4, etc.)

La situación es incómoda para todos. Para Pliny, porque carga con la presión de demostrar lo que dice sin revelar demasiado. Para los laboratorios, porque no pueden confirmar ni desmentir sin conocer la técnica, pero tampoco pueden ignorar el ruido. Para los que construimos sobre estas APIs, porque tenemos que decidir si seguimos como si nada o empezamos a diseñar capas de seguridad adicionales.

Errores comunes al interpretar este tipo de anuncios

1. Asumir que “jailbreak universal” significa “acceso total al sistema”. Un jailbreak burla las restricciones de output del modelo, no compromete la infraestructura que lo sirve. No estás “hackeando OpenAI” ni accediendo a datos de entrenamiento — estás haciendo que el modelo te responda cosas que no debería. La diferencia es enorme y la gente tiende a mezclarlo.

2. Creer que la responsible disclosure garantiza que el problema se va a arreglar. Si el jailbreak es realmente estructural y “no se puede parchear”, la responsible disclosure es un gesto ético, pero no una solución. Los modelos seguirán siendo vulnerables, y la única defensa será saber que la vulnerabilidad existe — y decidir qué hacer con eso.

3. Pensar que esto solo afecta a los laboratorios. Cualquier empresa que exponga un endpoint de GPT-5.6, Opus 5 o Fable a usuarios finales — y en 2026 eso es medio internet — está potencialmente expuesta. Si tu producto usa alguno de estos modelos como backend, el riesgo es tuyo también.

Si querés saber más sobre el modelo, leé nuestro artículo sobre Claude Opus 5.

Preguntas Frecuentes

¿Qué es un jailbreak universal en modelos de IA?

Un jailbreak universal es una técnica de prompting que logra burlar las salvaguardas de un modelo de IA sin depender de la arquitectura o implementación específica de un laboratorio en particular. A diferencia de los jailbreaks tradicionales, que explotan vulnerabilidades concretas de un modelo (y que los desarrolladores suelen parchear en días), un jailbreak universal funciona en múltiples sistemas a la vez y es mucho más difícil de corregir porque ataca el approach de alineamiento en sí mismo, no un bug puntual.

¿Quién es Pliny the Liberator y qué historial tiene en jailbreaking de IA?

Pliny the Liberator es un investigador de seguridad independiente con un historial documentado de jailbreaks exitosos en versiones anteriores de GPT y Claude. Es una figura conocida en los círculos de AI red teaming, aunque opera bajo un pseudónimo y mantiene un perfil deliberadamente under the radar. Su reputación en la comunidad le da credibilidad al anuncio actual, pero no reemplaza la necesidad de verificación independiente.

¿Opus 5, GPT-5.6 y Fable son realmente vulnerables a este jailbreak?

Hasta el 26 de julio de 2026, no hay confirmación independiente de que la técnica funcione. Pliny afirma que sí, pero no publicó evidencia. Los laboratorios afectados — OpenAI y Anthropic — no emitieron declaraciones al respecto. La respuesta honesta es: no sabemos. Lo que sí sabemos es que el investigador tiene la trayectoria para que su afirmación se tome en serio, y que el framework de severidad que Anthropic acaba de publicar muestra que la industria está preocupada por exactamente este tipo de escenarios.

¿Cómo pueden protegerse las empresas que usan estos modelos en sus productos?

La primera línea de defensa es no delegar toda la seguridad al proveedor del modelo. Implementar capas de filtrado de outputs propias, monitorear los prompts de los usuarios en busca de patrones de jailbreak conocidos y diseñar los productos asumiendo que el modelo va a fallar en algún momento es más efectivo que confiar ciegamente en que los guardrails del laboratorio son infalibles. También conviene mantenerse al tanto de los comunicados oficiales de OpenAI y Anthropic, y evaluar si tu caso de uso realmente necesita un modelo frontier o si uno más chico y menos expuesto alcanza.

¿Cuándo se va a revelar públicamente la técnica de Pliny?

No hay fecha confirmada. Pliny dijo que retiene la publicación “por ahora” mientras dura el período de responsible disclosure, pero no especificó plazos ni condiciones. La decisión depende enteramente de él, lo cual es inusual: normalmente estos procesos los lidera el laboratorio afectado o una entidad coordinadora como un CERT, no el investigador en solitario. Habrá que ver cómo evoluciona la conversación con los expertos que invitó a contactarlo.

Conclusión

El anuncio de Pliny puso sobre la mesa una posibilidad que la industria de IA venía posponiendo: que todas las salvaguardas actuales compartan una falla estructural, y que alguien — sin los recursos de un estado-nación — la haya encontrado antes que los propios laboratorios. Si el jailbreak es real, cambia el tablero de la seguridad en IA de un modo que ni el framework de Anthropic alcanza a cubrir del todo. Si es falso o exagerado, igual cumplió una función: nos obligó a preguntarnos qué tan sólidas son las defensas que damos por sentadas.

Mientras esperamos verificación independiente — y ojalá llegue pronto, porque dos días de especulación ya es mucho —, lo sensato es tomar el claim con la seriedad que merece sin entrar en pánico. Los modelos siguen funcionando, las APIs siguen sirviendo requests, y no hay evidencia de que actores maliciosos estén explotando esta técnica (si es que existe). Pero si estás diseñando un producto que depende de que GPT-5.6 o Opus 5 no generen cierto tipo de contenido, este es un buen momento para revisar tu arquitectura de seguridad y asumir que ningún guardrail es perfecto. Porque, se confirme o no el jailbreak de Pliny, eso ya era cierto antes del 24 de julio — solo que ahora tenemos un recordatorio bastante ruidoso.

Fuentes

• Anthropic — Fable safeguards y framework de severidad de jailbreaks: comunicado oficial con detalles sobre las salvaguardas de ciberseguridad de Fable 5 y el borrador del framework de clasificación de jailbreaks desarrollado con Glasswing.
• Startup Fortune — A researcher says he has broken every major AI model at once: cobertura del anuncio de Pliny publicada el 25 de julio de 2026, con detalles sobre los modelos afectados y la decisión de responsible disclosure.
• Digg — Researcher Withholds Universal AI Jailbreak: reporte del 24 de julio de 2026 que incluye el tweet original de Pliny y reacciones iniciales de la comunidad de seguridad.